Wat is een pentest?
Een pentest, voluit penetratietest, is een afgesproken aanval op je eigen systemen. Ethische hackers proberen met jouw schriftelijke toestemming binnen te komen zoals een crimineel dat zou doen, en laten per kwetsbaarheid zien hoe ver ze ermee komen.
Een reguliere pentest duurt 3 tot 10 testdagen en kost meestal 4.000 tot 15.000 euro. Je krijgt een rapport met bevindingen op volgorde van risico, bewijs per bevinding en een herstelvoorstel.
Door Redactie Securiguide. Laatst gecontroleerd op 5 oktober 2026.
| Andere namen | Penetratietest, pen test, pentesting |
| Uitvoerder | Ethische hackers (pentesters) van een extern bureau |
| Duur | 3 tot 10 testdagen, plus rapportage |
| Kosten | 4.000 tot 15.000 euro voor een reguliere opdracht |
| Uitkomst | Rapport met bevindingen, risicoscores, bewijs en herstelvoorstellen |
| Voorwaarde | Schriftelijke toestemming en een vastgelegde scope |
Op deze pagina: pentest of scan · black, grey en white box · soorten · verloop in zes stappen · rapport · kosten · wanneer en hoe vaak · red teaming en bug bounty · bureau kiezen · veelgestelde vragen
Pentest of vulnerability scan: het verschil
Pentest, pen test, penetratietest en pentesting zijn namen voor hetzelfde onderzoek. De testers heten pentesters of ethische hackers. Ze werken met de technieken en tools van criminelen. Het verschil zit in de toestemming, de afgesproken scope en het rapport dat je achteraf krijgt.
Een vulnerability scan is geautomatiseerd: de scanner meldt dat een kwetsbaarheid mogelijk aanwezig is. Bij een pentest toont een mens aan dat de kwetsbaarheid echt te misbruiken is en koppelt hij losse zwakke plekken aan elkaar tot een aanvalsroute. Fouten in bedrijfslogica, zoals een bestelling afrekenen voor nul euro, blijven voor een scanner onzichtbaar.
| Vulnerability scan | Pentest | Red teaming | |
|---|---|---|---|
| Werkwijze | Geautomatiseerd | Handmatig, ondersteund door tools | Handmatig en heimelijk |
| Vraag | Welke bekende kwetsbaarheden staan open? | Hoe ver komt een aanvaller binnen deze scope? | Merkt en stopt de organisatie een gerichte aanval? |
| Duur | Minuten tot uren | 3 tot 10 testdagen | Weken tot maanden |
| Ritme | Wekelijks of maandelijks | Jaarlijks en na grote wijzigingen | Doorgaans eens per een tot drie jaar |
| Uitkomst | Lijst met mogelijke kwetsbaarheden | Bewezen bevindingen met herstelvoorstel | Aanvalsverhaal en oordeel over detectie en respons |
De drie vullen elkaar aan. Scans houden het hele jaar de bekende kwetsbaarheden bij als onderdeel van vulnerability management, de pentest gaat periodiek de diepte in. Een breder onderzoek naar beleid, processen en techniek heet een security assessment.
Black box, grey box en white box
De drie testvormen verschillen in de informatie die de tester vooraf krijgt. Meer voorkennis betekent minder zoektijd en meer diepgang binnen hetzelfde aantal dagen.
| Vorm | Wat de tester vooraf krijgt | Past bij | Let op |
|---|---|---|---|
| Black box | Een naam, domein of IP-reeks | De vraag wat een buitenstaander zonder account bereikt | Veel tijd gaat naar verkenning, de diepgang blijft beperkt |
| Grey box | Gebruikersaccounts per rol en globale documentatie | Webapplicaties en portalen met inlog | Lever een testaccount voor elke rol aan, zodat ook de rechtenscheiding wordt getest |
| White box | Broncode, architectuur en beheertoegang | Maatwerksoftware en systemen met een hoog risico | Vraagt voorbereidingstijd van je ontwikkelteam |
Grey box is de meest gekozen vorm. De tester besteedt zijn dagen aan de applicatie zelf in plaats van aan het zoeken naar een ingang, wat binnen hetzelfde budget doorgaans de meeste bevindingen oplevert.
Wat elke vorm oplevert en wat je ervoor aanlevert, staat uitgewerkt bij black box, grey box en white box.
Welke soorten pentests zijn er?
De omgeving bepaalt welke test je kiest. Dit zijn de zes meest gevraagde vormen.
Alles wat vanaf internet bereikbaar is: firewalls, VPN-toegang, mailservers en beheerpoorten. Vaak het startpunt, omdat hier de laagdrempeligste routes liggen.
Configuratie in plaats van code: conditional access, rechten van gastaccounts, externe deling en logging. Controleer vooraf de testvoorwaarden van je cloudprovider.
Toegangscontrole, invoervalidatie, sessiebeheer en de logica achter betalingen of uploads. Testers lopen onder meer de OWASP Top 10 na, met kwetsbaarheden zoals XSS. Wat er bij een site aan bod komt, lees je bij pentest van een website.
Phishing, bellen namens de helpdesk of meelopen door de voordeur. Stem dit vooraf af met HR en de ondernemingsraad en rapporteer resultaten zonder namen. Zie ook phishing simulatie.
Het scenario waarin een aanvaller al binnen is, bijvoorbeeld via een besmette laptop. Gericht op rechtenescalatie in Active Directory, netwerksegmentatie en beheeraccounts.
Hoe ver komt iemand vanaf de parkeerplaats of in de hal? Testers onderzoeken wifi-versleuteling, gastnetwerken en nagemaakte toegangspunten. Lees meer over wifi hacken en de WiFi Pineapple.
Hoe verloopt een pentest? Zes stappen
Een pentest volgt een vaste volgorde, van intake tot hertest. De testdagen zijn daarvan het kortste deel: intake, planning en rapportage bepalen de doorlooptijd.
- Intake en scope. Je bepaalt samen met het bureau welke systemen meedoen, welke testvorm past en hoeveel dagen dat vraagt. Het resultaat is een offerte met testplan.
- Toestemming en afspraken. Je tekent een vrijwaringsverklaring en legt het testvenster, de contactpersonen en een noodnummer vast. Draait een systeem bij een hostingpartij, dan geeft ook die partij toestemming.
- Verkenning. De tester verzamelt openbare informatie over je organisatie met OSINT: subdomeinen, gelekte wachtwoorden, namen van medewerkers en gebruikte software.
- Scannen en zoeken. Met pentest tools als Nmap en Burp Suite, vaak vanuit Kali Linux, brengt de tester open poorten, diensten en mogelijke kwetsbaarheden in kaart. Daarna volgt handwerk: elke functie en elke rol nalopen.
- Exploitatie. De tester misbruikt kwetsbaarheden gecontroleerd om te bewijzen dat ze werken. Daarna probeert hij rechten te verhogen en door te bewegen naar andere systemen. Een kritieke vondst hoor je dezelfde dag.
- Rapportage en hertest. Je krijgt het rapport met een toelichting voor techniek en directie. Na herstel controleert de tester of de bevindingen echt zijn opgelost.
Testers werken volgens openbare kaders: de OWASP Web Security Testing Guide (WSTG) voor webapplicaties, PTES voor het verloop van de hele test en NIST SP 800-115 als technische richtlijn. Vraag welk kader het bureau volgt, dan weet je wat er is nagelopen.
Wat je vastlegt voordat het testen begint
Scope en schriftelijke toestemming
Benoem exact welke IP-adressen, domeinen en applicaties meedoen en wat buiten scope blijft. Een getekende toestemmingsbrief hoort erbij, zeker bij systemen die bij een hostingpartij draaien.
Productie of acceptatie
Testen in productie geeft het echte beeld en brengt risico op verstoring mee. Testen in acceptatie is veiliger, mits de omgeving qua configuratie en data gelijk is aan productie.
Kwalificaties van de testers
Vraag naar certificeringen zoals OSCP, OSWE of GPEN en naar ervaring met jouw type omgeving. Vraag ook wie het werk doet, want dat is niet altijd degene die de offerte schrijft.
Testvenster en noodprocedure
Spreek af wanneer er getest wordt, wie bereikbaar is en wanneer de tester stopt. Leg ook vast dat je een kritieke bevinding direct hoort, los van het rapport.
Reken af per testdag en vraag hoeveel dagen er aan onderzoek en hoeveel aan rapportage worden besteed. Een totaalbedrag zonder aantal dagen zegt weinig.
Wat staat er in een pentestrapport?
Het rapport is het product dat je koopt. Een bruikbaar pentestrapport bedient drie lezers: de directie, de beheerder die herstelt en de auditor die bewijs zoekt.
- Managementsamenvatting. Het risico in gewone taal: wat kon de tester bereiken en wat betekent dat voor de organisatie.
- Scope en methode. Wat is getest, in welke periode, volgens welk kader en wat bleef buiten beschouwing.
- Bevindingen op volgorde van risico. Elke bevinding heeft een CVSS-score van 0 tot 10, reproductiestappen, bewijs zoals screenshots en een herstelvoorstel.
- Hertestresultaat. Per bevinding de status na herstel: opgelost, deels opgelost of open.
Vraag vóór de opdracht een geanonimiseerd voorbeeldrapport op. Daaraan zie je binnen vijf minuten of bevindingen reproduceerbaar zijn beschreven of rechtstreeks uit een scanner komen. Hoe je het rapport leest en opvolgt, staat bij een pentestrapport lezen.
Wat kost een pentest?
Een pentest kost in Nederland meestal 4.000 tot 15.000 euro. Bureaus rekenen het aantal testdagen maal een dagtarief van 1.000 tot 2.000 euro, exclusief btw. De scope bepaalt het aantal dagen: hoeveel systemen, gebruikersrollen en koppelingen doen mee.
| Type pentest | Testdagen | Richtprijs |
|---|---|---|
| Externe infrastructuur | 2 tot 5 | 3.000 tot 8.000 euro |
| Webapplicatie | 3 tot 5 | 6.000 tot 12.000 euro |
| Interne netwerktest | 3 tot 5 | 6.000 tot 15.000 euro |
| Active Directory | 5 tot 10 | 10.000 tot 25.000 euro |
| Red teaming | 10 tot 20 of meer | 20.000 tot 50.000 euro of meer |
Richtprijzen exclusief btw, op basis van openbaar gepubliceerde tarieven verzameld door IBgids (augustus 2026) en Matproof (2026).
Controleer in de offerte of rapportage, toelichting en hertest zijn inbegrepen. Een aanbod van een paar honderd euro is een geautomatiseerde scan met een rapport eromheen.
De richtprijzen voor alle typen tests, de opbouw van een offerte en de gepubliceerde tarieven van acht bureaus staan op de pagina over pentest kosten.
Inzicht in kwetsbaarheden die echt te misbruiken zijn
Securiguide legt uit welke testvormen bestaan, wat je vooraf vastlegt en waaraan je een bruikbaar rapport herkent. Zoek je een uitvoerder, dan vind je in het overzicht Nederlandse bureaus die pentesten uitvoeren.
Wanneer en hoe vaak laat je een pentest uitvoeren?
Jaarlijks testen is het gangbare ritme, aangevuld met een test na elke grote wijziging. Vier momenten komen het vaakst voor.
- Voor livegang van een nieuwe applicatie of koppeling, zolang aanpassen weinig tijd vraagt.
- Na een grote wijziging in architectuur, hosting of authenticatie.
- Jaarlijks als vast ritme naast doorlopende scans, omdat je omgeving en de aanvalstechnieken veranderen.
- Op verzoek van een klant, verzekeraar of toezichthouder, bijvoorbeeld bij een aanbesteding.
Wanneer is een pentest verplicht?
In vijf situaties ligt de pentest vast in een norm of in wetgeving, of dient hij als bewijs daarvoor.
| Situatie | Wat geldt |
|---|---|
| DigiD-koppeling | Jaarlijks een pentest als onderdeel van het ICT-beveiligingsassessment voor Logius. |
| Betaalkaartgegevens (PCI DSS) | Minimaal jaarlijks een interne en externe pentest, en na elke significante wijziging. |
| Financiële sector (DORA) | Regelmatig testen. Instellingen die de toezichthouder aanwijst, doen elke drie jaar een threat-led pentest volgens TIBER. |
| Cyberbeveiligingswet (NIS2) | Sinds 15 augustus 2026 geldt een zorgplicht waarbij je de werking van je maatregelen periodiek beoordeelt. Een pentest is een gangbare manier om dat aan te tonen. |
| ISO 27001 | De norm vraagt om beheer van technische kwetsbaarheden en om beveiligingstests. Een pentestrapport dient als bewijs voor de auditor. |
Kort na een incident levert een test weinig op zolang de omgeving nog in herstel is. Rond dan eerst het incident response-traject af.
Pentest, red teaming, bug bounty en TIBER
Een pentest zoekt binnen een afgebakende scope naar zoveel mogelijk kwetsbaarheden. Red teaming, ook adversary simulation genoemd, draait om één doel, bijvoorbeeld toegang tot de salarisadministratie. Het securityteam weet van niets, zodat ook detectie en respons worden getest. Dat vraagt om werkende monitoring, anders valt er weinig te meten.
Financiële instellingen kennen TIBER, het raamwerk waarmee De Nederlandsche Bank sinds 2016 aanvalssimulaties op basis van actuele dreigingsinformatie begeleidt. Onder DORA is zo’n threat-led pentest elke drie jaar verplicht voor aangewezen instellingen. Het verloop, de kosten en de raamwerken staan bij red teaming en TIBER.
Bij een bug bounty-programma zoeken externe onderzoekers doorlopend naar kwetsbaarheden en betaal je per geldige melding. Met een responsible disclosure-beleid, ook coordinated vulnerability disclosure genoemd, kunnen vinders een lek veilig bij je melden. Beide vullen de pentest aan. De opzet van beide staat bij bug bounty en responsible disclosure. De vaste scope en het volledige rapport horen bij de pentest.
Een pentestbureau kiezen: zeven vragen
De kwalificaties van de tester en het aantal testdagen bepalen wat een pentest oplevert. Met deze zeven vragen vergelijk je offertes op inhoud.
- Wie voert de test uit en welke certificeringen heeft die persoon, zoals OSCP, OSWE of GPEN?
- Hoeveel dagen gaan naar testen en hoeveel naar rapportage?
- Welk kader volgen jullie en welke onderdelen vallen buiten de test?
- Mag ik een geanonimiseerd voorbeeldrapport zien?
- Is een hertest inbegrepen en binnen welke termijn?
- Hoe bewaren en vernietigen jullie onze gegevens na de opdracht?
- Welke ervaring hebben jullie met ons type omgeving, bijvoorbeeld OT, zorg of SaaS?
Het CCV-keurmerk Pentesten bestaat sinds 2021 en toetst het proces van een bureau: testplan, uitvoering, rapportage en kwalificaties van de testers. Sinds 1 april 2024 geldt versie 2.0 van het schema. Het keurmerk zegt weinig over de technische diepgang van een individuele test. Stel de zeven vragen daarom ook aan een gecertificeerd bureau.
Het overzicht van pentest bedrijven toont de 52 Nederlandse bureaus die pentests uitvoeren, met per bedrijf de plaats, het pentestaanbod en het CCV-keurmerk.
Is pentesten legaal?
Pentesten is legaal met schriftelijke toestemming van de eigenaar van het systeem. Zonder die toestemming is binnendringen computervredebreuk volgens artikel 138ab van het Wetboek van Strafrecht, ook met nobele bedoelingen. De toestemming beschrijft de scope, de periode en de toegestane technieken. Wat een ethisch hacker wel en niet mag, lees je in het artikel over ethisch hacken.
Verder lezen over pentesten en ethical hacking
Deze artikelen gaan dieper in op de technieken en tools die pentesters gebruiken.
- Ethisch hacken: wat het is, wat mag en hoe je het inzet.
- Kali Linux: het besturingssysteem met de standaardtools van pentesters.
- Pentest tools: 19 hacking tools per fase van de test.
- OSINT: openbare bronnen als eerste stap van een aanval.
- Wifi hacken en kraken: hoe aanvallers een wifi-netwerk binnenkomen en hoe je dat voorkomt.
- WiFi Pineapple: nagemaakte toegangspunten in de praktijk.
- XSS: een veelgevonden kwetsbaarheid in webapplicaties.
- Honeypot: aanvallers zichtbaar maken met een loksysteem.
- Security assessment: het bredere onderzoek naar beleid, proces en techniek.
- Vulnerability scanning: geautomatiseerd zoeken naar bekende kwetsbaarheden.
Veelgestelde vragen over de pentest
Wat betekent pentest?
Pentest is de afkorting van penetratietest, in het Engels penetration test. Het woord verwijst naar het binnendringen in een systeem om de beveiliging te toetsen. Pen test en pentesting zijn schrijfwijzen van hetzelfde begrip.
Kan een pentest mijn systemen verstoren?
De kans op verstoring is klein en bestaat wel. Testers vermijden aanvallen die systemen overbelasten, zoals DDoS, tenzij je daar uitdrukkelijk om vraagt. Maak vooraf een back-up, plan risicovolle onderdelen buiten piekuren en houd een beheerder bereikbaar.
Kan ik zelf een pentest uitvoeren?
Op je eigen systemen mag dat. Een interne test met open source tools laat de voor de hand liggende zwakke plekken zien. Voor een klant, auditor of toezichthouder telt een onafhankelijke test door een extern bureau, omdat die zonder voorkennis van je eigen keuzes kijkt.
Hoe lang blijft een pentestrapport bruikbaar?
Een pentest is een momentopname. Klanten en auditors accepteren doorgaans een rapport van maximaal twaalf maanden oud, op voorwaarde dat de omgeving sindsdien weinig is veranderd.
Bronnen
- OWASP, Web Security Testing Guide. Geraadpleegd op 5 oktober 2026.
- NIST, SP 800-115: Technical Guide to Information Security Testing and Assessment, september 2008.
- FIRST, Common Vulnerability Scoring System versie 4.0, november 2023.
- Het CCV, Keurmerk Pentesten, certificatieschema versie 2.0, geldig sinds 1 april 2024.
- Logius, ICT-beveiligingsassessments DigiD. Geraadpleegd op 5 oktober 2026.
- PCI Security Standards Council, PCI DSS versie 4.0.1, eis 11.4.
- De Nederlandsche Bank, TIBER-EU Implementation Document TCT-DNB, 2025.
- Digitale Overheid, Cyberbeveiligingsregeling overheid in Staatscourant, 7 augustus 2026.
- Wetboek van Strafrecht, artikel 138ab (computervredebreuk).
- IBgids, Wat kost een penetratietest? Prijzen en doorlooptijd, augustus 2026.
- Matproof, Penetratietest kosten in Nederland, 2026.